Uma EAF deve ter uma função de compliance permanente, eficaz e independente, além de gestão de riscos e, quando proporcional, auditoria interna. Ela pode delegar essas funções a um terceiro, mas continua sendo responsável: o Regulamento Delegado (UE) 2017/565 e a Circular 1/2014 da CNMV definem como. Organizamos isso com você.
Sua EAF pode delegar o compliance? Diagnóstico gratuito
Conte-nos quais serviços sua EAF presta, qual é o porte dela e quais funções você quer delegar.
A EAF pode se apoiar em um terceiro para suas funções de controle, mas a responsabilidade fica em casa. Ajudamos você a decidir o que delegar, a quem e como supervisionar.
Analisamos seus serviços e o porte da empresa para decidir se basta uma unidade única de compliance e riscos e se você precisa de auditoria interna, conforme a norma quarta da Circular 1/2014.
Verificamos a capacidade, os meios e os conflitos de interesse do fornecedor e, se você delegar a ele a auditoria interna, que ele não seja quem audita suas contas.
Redigimos o acordo por escrito: escopo, relatórios, acesso da CNMV e dos seus auditores, subcontratação somente com o seu consentimento, continuidade e saída.
Refletimos a delegação no seu programa de atividades e nos seus procedimentos, e avaliamos com você se a mudança deve ser comunicada à CNMV.
Designamos a pessoa que supervisiona a função delegada, definimos indicadores e o calendário de relatórios e preparamos o acompanhamento pelo órgão de administração.
Organizamos o plano anual de compliance, os relatórios ao órgão de administração, no mínimo anuais, e a documentação que a CNMV pedirá em uma inspeção.
Em uma EAF pequena, delegar as funções de controle costuma ser a forma de garantir a independência sem aumentar o quadro de pessoal. Estes são os momentos típicos.
No processo de autorização, a CNMV pergunta como você vai cobrir as funções de controle e se vai delegá-las: convém chegar com o fornecedor escolhido e o contrato pronto.
Quem presta a consultoria não deveria supervisionar o próprio trabalho; se vocês são poucos, delegar a função ajuda a garantir a independência.
Uma mudança na função de controle afeta sua organização: é preciso garantir a continuidade, a transferência da documentação e a informação à CNMV.
Você terá de demonstrar que supervisiona o fornecedor, que os relatórios dele chegam ao órgão de administração e que você age com base nas recomendações dele.
Dados do Regulamento Delegado (UE) 2017/565, do Real Decreto 813/2023 e da Circular 1/2014 da CNMV.
A função de compliance deve ser permanente, eficaz e independente.
Compliance e gestão de riscos podem estar em uma única unidade independente, se as tarefas de cada função estiverem asseguradas.
A unidade de auditoria interna não é obrigatória se você apenas presta consultoria ou transmite ordens sem poder de disposição e isso for proporcional.
A auditoria interna não pode ser delegada ao auditor das contas nem, salvo no caso anterior, a quem cuida do compliance ou dos riscos.
A EAF continua plenamente responsável por todas as suas obrigações, mesmo que terceirize funções.
A terceirização não pode prejudicar significativamente o controle interno nem a capacidade de supervisão da CNMV.
Revisamos seu contrato, seus relatórios e a forma como você supervisiona as funções delegadas e entregamos a lista de mudanças por ordem de urgência.
Sim. Os arts. 30 e 31 do Regulamento Delegado (UE) 2017/565, que o art. 83 do Real Decreto 813/2023 aplica às empresas de investimento (ESI) e às EAFN (empresas de consultoria financeira nacionais), permitem terceirizar funções críticas ou importantes, como a de compliance, com condições. A Circular 1/2014 da CNMV submete a delegação das funções de controle aos requisitos de terceirização e exige supervisionar de forma eficaz as funções delegadas (norma oitava).
A regulação não prevê uma autorização específica da CNMV para terceirizar o compliance de uma ESI. Mas a delegação faz parte da sua organização: no processo de autorização, a CNMV pergunta como você cobre as funções de controle, e a terceirização não pode reduzir a capacidade de supervisão da CNMV (art. 85 do Real Decreto 813/2023). Se você mudar o esquema depois, convém avaliar antes se deve informar a CNMV.
Sim. Em regra, a norma quarta da Circular 1/2014 permite uma unidade única independente que desempenhe as funções de compliance e de gestão de riscos, desde que fiquem asseguradas as responsabilidades e tarefas de cada uma. Se a natureza, a escala e a complexidade da sua atividade justificarem, você precisará de unidades separadas.
Nem sempre. A norma quarta da Circular 1/2014 não exige essa unidade quando os únicos serviços são a consultoria e a recepção e transmissão de ordens, sem poder de disposição sobre os fundos ou instrumentos dos clientes, e isso for proporcional. Nesse caso, ela pode ser assumida pela unidade de compliance e riscos ou delegada à mesma entidade que cuida dessas funções.
À entidade que audita suas contas anuais; nem, salvo no caso anterior, àquela que cuida do seu compliance ou da sua gestão de riscos; nem a qualquer outra com interesses em conflito (norma nona da Circular 1/2014). Se você pertence a um grupo, a auditoria interna do grupo pode assumi-la, com condições para evitar conflitos.
Sua EAF. Ao terceirizar funções críticas ou importantes, a empresa continua plenamente responsável por todas as suas obrigações (art. 31 do Regulamento Delegado). Por isso, você precisa de due diligence prévia, de um contrato escrito que permita supervisionar e encerrar o acordo quando necessário, e de acesso da CNMV às informações.
Um acordo por escrito que defina os direitos e obrigações das partes, o escopo do serviço e seus relatórios, os meios do fornecedor, o acesso dos seus auditores e da CNMV a dados e instalações, a confidencialidade, a continuidade do serviço, a subcontratação somente com o seu consentimento e a possibilidade de encerrá-lo sem prejudicar a continuidade nem a qualidade do serviço aos seus clientes.
As diretrizes da ESMA sobre a função de compliance da MiFID II (ESMA35-36-1952), aplicadas pela CNMV, lembram que se delegam tarefas, e não a responsabilidade; pedem due diligence prévia sobre o fornecedor, que a função continue sendo permanente e que a alta administração a supervisione; e admitem a proporcionalidade em entidades pequenas.
Terceirizar bem é escolher o fornecedor adequado, assinar um contrato que permita controlá-lo e supervisioná-lo de verdade.
Seus serviços e o porte da empresa determinam se basta uma unidade única e se você precisa de auditoria interna.
Escopo, relatórios, acesso da CNMV, subcontratação e saída, por escrito.
Relatórios ao órgão de administração, acompanhamento das recomendações e revisão periódica do fornecedor.
Fonte: Regulamento Delegado (UE) 2017/565 (arts. 22, 30 e 31), Real Decreto 813/2023 (arts. 83 e 85), Circular 1/2014 da CNMV (normas quarta, oitava e nona) e diretrizes ESMA35-36-1952.
Estes termos aparecem no Regulamento Delegado (UE) 2017/565, na Circular 1/2014 e em qualquer revisão da CNMV.
Empresa de investimento autorizada pela CNMV para prestar consultoria de investimento.
Função permanente que controla se a empresa cumpre suas obrigações e assessora o órgão de administração.
Função que identifica, mede e comunica os riscos da empresa.
Função que avalia a eficácia dos sistemas e controles internos.
Acordo pelo qual um terceiro realiza um processo, serviço ou atividade que seria executado pela própria empresa.
Função cuja deficiência afetaria o cumprimento das obrigações, os resultados ou a continuidade dos serviços.
As exigências de organização se adaptam à natureza, à escala e à complexidade da atividade.
Verificação da capacidade, dos meios e da confiabilidade do fornecedor antes da contratação.
Acompanhamento contínuo, pela própria empresa, do que o fornecedor faz.
Função interna: da EAF.
Função terceirizada: continua sendo da EAF (art. 31 do Regulamento Delegado).
Função interna: difícil de comprovar se a equipe é pequena e presta consultoria.
Função terceirizada: mais fácil de comprovar, se o fornecedor não tiver conflitos.
Função interna: estrutura fixa e treinamento próprio.
Função terceirizada: meios do fornecedor e supervisão interna.
Função interna: procedimentos e registros internos.
Função terceirizada: além disso, contrato escrito e relatórios do fornecedor.
Função interna: direto sobre a EAF.
Função terceirizada: a CNMV também deve poder acessar as informações do fornecedor.
São falhas que a CNMV percebe assim que revisa uma função delegada.
Conte-nos quais serviços sua EAF presta, como você cobre hoje as funções de controle e o que quer delegar, e diremos como fazer isso com garantias.
Atualizado em 15 de outubro de 2026
As EAF, como empresas de investimento, devem ter funções de compliance, gestão de riscos e, quando proporcional, auditoria interna. O Real Decreto 813/2023 remete aos arts. 21 a 43 do Regulamento Delegado (UE) 2017/565, que regulam essas funções e sua terceirização.
O art. 22 do Regulamento Delegado exige uma função permanente, eficaz e independente, com um responsável designado e sem participação nos serviços que controla, salvo se a proporcionalidade justificar outra solução. O art. 83 do Real Decreto 813/2023 a aplica às ESI e às EAFN. Para ver o conjunto, consulte as obrigações de uma EAF.
A norma quarta permite uma unidade única de compliance e riscos e dispensa da unidade de auditoria interna as entidades que apenas prestam consultoria ou recebem e transmitem ordens sem poder de disposição, quando isso for proporcional. A norma oitava submete a delegação de funções de controle aos requisitos de terceirização e exige supervisioná-las; a nona limita a quem a auditoria interna pode ser delegada.
O art. 31 do Regulamento Delegado exige que a empresa mantenha a plena responsabilidade, faça a due diligence prévia do fornecedor, possa encerrar o acordo quando necessário sem prejudicar seus clientes, garanta o acesso da CNMV e formalize tudo por escrito. O art. 85 do Real Decreto 813/2023 acrescenta que a terceirização não pode prejudicar significativamente o controle interno. Para os fornecedores de tecnologia, revise também a terceirização de funções críticas e DORA.
As diretrizes sobre determinados aspectos dos requisitos da função de compliance da MiFID II (ESMA35-36-1952) dedicam uma diretriz à terceirização: a responsabilidade não se delega, a função deve continuar sendo permanente e eficaz, a alta administração a supervisiona e sua continuidade é garantida. A CNMV aplica essas diretrizes.
A terceirização do compliance é preparada já no processo para criar uma EAF e revisada no controle de riscos das ESI. Se você é uma gestora, o regime é diferente: veja como terceirizar o compliance de uma gestora.